NIS-2: Was jetzt vom Mittelstand verlangt wird

Mit dem NIS-2-Umsetzungsgesetz überführt Deutschland die europäische NIS-2-Richtlinie in nationales Recht – vor allem über die Novelle des BSI-Gesetzes. Das BSI geht von rund 29.500 wichtigen und besonders wichtigen Einrichtungen aus. Damit betrifft die Regulierung nicht mehr nur klassische KRITIS-Betreiber, sondern einen erheblich größeren Teil des Mittelstands.

Ob Ihr Unternehmen dazugehört, richtet sich nach Sektor, Einrichtungsart und Unternehmensgröße. Als grobe Orientierung sollten Unternehmen in den regulierten Sektoren die Betroffenheit prüfen, wenn sie mindestens 50 Beschäftigte haben oder – bei weniger Beschäftigten – sowohl der Jahresumsatz als auch die Bilanzsumme jeweils über 10 Millionen Euro liegen. Hinzu kommen sektorspezifische, größenunabhängige und konzernbezogene Sonderregeln. Entscheidend ist deshalb nicht eine einzelne Kennzahl, sondern eine dokumentierte Prüfung anhand der aktuellen BSI-Informationen; die Verantwortung dafür liegt bei der Einrichtung.

• Registrierung beim BSI: Die Registrierung erfolgt ausschließlich über das BSI-Portal. Dafür wird zunächst ein ELSTER-Organisationszertifikat für „Mein Unternehmenskonto“ benötigt; anschließend folgt die fachliche Registrierung im Portal. Betroffene Einrichtungen müssen sich grundsätzlich innerhalb von drei Monaten nach Eintritt der gesetzlichen Voraussetzungen registrieren. Wer die Frist versäumt hat, sollte die Registrierung unverzüglich nachholen.
• Risikomanagement: § 30 BSIG verlangt geeignete, wirksame und verhältnismäßige technische und organisatorische Maßnahmen nach Stand der Technik – darunter Risikoanalysen, Incident Response, Business Continuity mit Backups, Lieferkettensicherheit, Schwachstellenmanagement, starke Authentifizierung und Schulungen.
• Meldepflichten: Erhebliche Sicherheitsvorfälle werden über das BSI-Portal in einem gestuften Verfahren gemeldet: eine frühe Warnung grundsätzlich innerhalb von 24 Stunden, die Vorfallmeldung innerhalb von 72 Stunden und der Abschlussbericht spätestens einen Monat nach der Vorfallmeldung. Der interne Prozess muss Bewertung, Freigabe und Vertretung so organisieren, dass diese Fristen auch außerhalb der Kernarbeitszeit funktionieren.

NIS-2 verankert die Verantwortung ausdrücklich auf Leitungsebene. Geschäftsleitungen müssen die Risikomanagementmaßnahmen billigen, deren Umsetzung überwachen und regelmäßig an Schulungen teilnehmen, um Risiken und Auswirkungen auf die Dienste der Einrichtung beurteilen zu können. Diese Governance-Aufgabe kann operativ unterstützt, aber nicht vollständig an IT oder Informationssicherheit delegiert werden. Haftungsfragen richten sich nach dem konkreten Einzelfall und den anwendbaren gesetzlichen Regeln.

Die möglichen Sanktionen sind erheblich: Für besonders wichtige Einrichtungen sind Bußgelder bis zu 10 Millionen Euro oder 2 % des weltweiten Jahresumsatzes vorgesehen, für wichtige Einrichtungen bis zu 7 Millionen Euro oder 1,4 %.

1. Betroffenheit sauber prüfen. Sektor, Einrichtungsart, Beschäftigtenzahl, Jahresumsatz, Bilanzsumme sowie Partner- und verbundene Unternehmen – gerade Zurechnungsfragen führen häufig zu Fehleinschätzungen. Das Ergebnis gehört dokumentiert, auch wenn es „nicht betroffen“ lautet.
2. Lücken ermitteln statt Panik kaufen. Eine strukturierte Gap-Analyse gegen § 30 BSIG zeigt, welche bestehenden Kontrollen belastbar nachgewiesen sind und was fehlt. Ein vorhandenes ISO-27001-System ist eine hilfreiche Grundlage, ersetzt aber weder die konkrete BSIG-Prüfung noch Registrierung, Meldeverfahren und Pflichten der Geschäftsleitung.
3. Priorisieren und umsetzen. Registrierung, Meldewege und Backup-/Notfallprozesse zuerst – sie sind schnell umsetzbar und decken das größte Risiko. Danach systematisch: Lieferkette, Schulungen, Dokumentation.

Auch dann lohnt der Blick: NIS-2-pflichtige Unternehmen müssen die Sicherheit ihrer Lieferkette nachweisen – und geben die Anforderungen zunehmend an ihre Dienstleister und Zulieferer weiter. Wer als kleineres Unternehmen früh belegen kann, dass grundlegende Sicherheitsmaßnahmen stehen, verschafft sich einen handfesten Wettbewerbsvorteil bei der Auftragsvergabe.